【华为】路由过滤工具

目录

1、匹配感兴趣流量

1.1  ACL

1.2 IP-Prefix List

2、路由策略

2.1 Filter-Policy

2.2 Route-Policy

3、实验配置

---

在真实的企业网络中，可能会遇到各种各样的需求，这就要我们对网路中的流量进行控制，其中会用到一些工具，这篇文章总结一下华为设备的路由过滤工具。对流量进行控制的一般思路是：首先使用工具对感兴趣流量进行匹配抓取，其次再对匹配抓取的流量进行策略。

1、匹配感兴趣流量

1.1  ACL

访问控制列表ACL（Access Control List）是由permit或deny语句组成的一系列有顺序规则的集合，它通过匹配报文的信息实现对报文的分类。值的注意的是，ACL中的我们叫做通配符，0的部分必须一致，1的部分可为0可为1；并且0和1可以不连续。

ACL的分类：

• 基本ACL：主要基于源地址、分片标记和时间段信息对数据包进行分类定义，编号范围为2000-2999。
• 高级ACL：可以基于源地址、目的地址、源端口号、目的端口号、协议类型、优先级、时间段等信息对数据包进行更为细致的分类定义，编号范围为3000-3999。
• 二层ACL：主要基于源MAC地址、目的MAC地址和报文类型等信息对数据包进行分类定义，编号范围为4000-4999。
• 用户自定义ACL：主要根据用户自定义的规则对数据报文做出相应的处理，编号范围为5000-5999。

一个ACL可以由多条 “ deny | permit ” 语句组成，每一条语句描述了一条规则。设备收到数据流量后，会逐条匹配ACL规则，看其是否匹配。如果不匹配，则继续匹配下一条。一 旦找到一条匹配的规则，就会执行规则中定义的动作，且不再继续与后续规则进行匹配；如果找不到匹配的规则，则设备会对报文直接进行转发。

需要注意的是，ACL中定义的这些规则可能存在重复或矛盾的地方。规则的匹配顺序决定了规则的优先级，ACL通过设置规则的优先级来处理规则之间重复或矛盾的情形。

问题：ACL可以灵活的匹配IP地址的前缀，但无法匹配掩码长度。（因为路由表可能接收到的是网段信息，所以可能会存在网络位全0的情况，这种情况下，ACL就不能精确匹配了）这就引出了我们的下一个工具：地址前缀列表。

1.2 IP-Prefix List

地址前缀列表即IP-Prefix List。可以通过地址前缀列表，将与所定义的